Tijdens de Patch Tuesday van oktober heeft Microsoft ruim 1400 beveiligingslekken in de eigen software gepatcht, waaronder een actief aangevallen kwetsbaarheid. Niet eerder dichtte Microsoft tijdens een patchdinsdag zoveel kwetsbaarheden. Elfhonderd van de problemen bevinden zich in Windows, waaronder een beveiligingslek in de Windows Shell (CVE-2026-96951). Dit probleem werd al voor het uitkomen van de patches misbruikt bij aanvallen en maakt het mogelijk om het Mark of the Web te omzeilen.

Mark-of-the-Web (MOTW) is een beveiligingsfeature van Windows die ervoor zorgt dat bestanden die via internet zijn gedownload door Windows van een aparte tag worden voorzien. Bij het openen van bestanden met een MOTW-tag zal Windows een extra waarschuwing aan gebruikers tonen of ze het bestand echt willen openen, aangezien het vanaf internet afkomstig is. Microsoft geeft geen details over de waargenomen aanvallen.

Zo'n honderd van de kwetsbaarheden zijn als kritiek aangemerkt. Het grootste deel van deze problemen bevindt zich in Microsoft Office en maakt remote code execution mogelijk, aldus Microsoft. Misbruik is mogelijk door een gebruiker een speciaal geprepareerd bestand te laten openen, maar in veel gevallen ook via het Voorbeeldvenster (Preview Pane). Dit houdt in dat een doelwit het bestand niet hoeft te openen om misbruik van de kwetsbaarheid te maken.

De meeste beveiligingslekken maken het mogelijk voor een aanvaller die al toegang tot een systeem heeft om zijn rechten te verhogen en zo volledige controle over het systeem te krijgen. Volgens Dustin Childs van cybersecuritybedrijf ZDI zijn 59 van de kwetsbaarheden die Microsoft deze maand heeft verholpen 'wormable', wat inhoudt dat ze zonder interactie van gebruikers zijn te misbruiken en geautomatiseerde aanvallen door een computerworm mogelijk maken.

Een ander probleem dat volgens Childs de aandacht verdient is een kritiek beveiligingslek in Microsoft Office SharePoint (CVE-2026-102866), waardoor een ongeauthenticeerde aanvaller als willekeurige gebruiker kan inloggen, als hij het token van deze gebruiker weet te bemachtigen. Iets wat op verschillende manieren kan. De beveiligingsupdates van Patch Tuesday zullen op de meeste systemen automatisch worden geïnstalleerd.